471 milionů oznámení, málo vysvětlení: Co zpráva zjistila

Nová zpráva uvádí ohromující číslo k problému, před kterým zastánci soukromí varují již roky: během pouhých šesti měsíců bylo rozesláno více než 471 milionů oznámení obětem úniku dat. To není překlep. Při zachování současného tempa to znamená více než půl miliardy oznámení ročně, což se dotýká takové části populace, že je těžké to plně vstřebat.

Objem však není tou nejznepokojivější částí. Podle zprávy většina těchto oznámení neuvádí, jak se útočníci vlastně dostali dovnitř. Žádná zmínka o tom, zda šlo o phishingový e-mail, neopravený server, odcizené přihlašovací údaje nebo kompromitovaného dodavatele třetí strany. Pouze vágní konstatování, že došlo k „neoprávněnému přístupu“, a poté standardní rady, abyste sledovali své účty.

Toto je jádro problému transparentnosti oznamování úniků dat. Zákony ve většině jurisdikcí vyžadují, aby vám společnosti řekly, že k úniku došlo a jaké údaje byly odhaleny. Jen velmi málo z nich vyžaduje vysvětlení jak k němu došlo. Tato mezera znemožňuje spotřebitelům posoudit, zda bezpečnostní postupy společnosti byly přiměřené, nedbalé, nebo někde mezi tím, a znemožňuje jim vyhodnotit vlastní skutečné riziko do budoucna.

Proč společnosti zůstávají vágní ohledně způsobů útoku

Existují praktické a právní důvody, proč společnosti informace o únicích sdělují jen minimálně. Probíhající vyšetřování, aktivní soudní spory a regulační rizika motivují právní týmy, aby řekly co nejméně. Společnost, která přizná, že nechala databázi nezašifrovanou nebo ignorovala známou softwarovou zranitelnost, dává zbraň do rukou právníkům žalujících stran i regulátorům.

Je v tom i reputační kalkul. Podrobná technická odhalení mohou vypadat jako přiznání neschopnosti, zatímco vágní formulace jako „sofistikovaný útok“ nebo „neoprávněná třetí strana“ zní spíše jako smůla než nedbalost, i když pravda se blíží spíše té druhé. Zákony o oznamování úniků dat se v USA v jednotlivých státech výrazně liší a většina z nich nastavuje laťku nízko: informovat dotčené osoby, popsat kategorie odhalených údajů a nabídnout nějakou formu sledování úvěrové historie. Jen málokteré vyžadují vysvětlení příčiny a prosazování i těchto základních požadavků je nekonzistentní.

Výsledkem je systém, v němž společnosti splňují doslovné znění zákona a spotřebitelům přitom nedávají téměř nic, co by mohli použít k vlastní ochraně nebo k vyvození odpovědnosti.

Nedávné úniky ukazují, že se vzorec opakuje

Nejde o abstraktní trend. Projevuje se v jednom úniku za druhým, o nichž se píše v titulcích. Únik dat společnosti Humana, který postihl zákazníky v šesti státech, se týkal jedněch z nejcitlivějších informací, jaké lidé mají – zdravotních záznamů – přesto jsou veřejné podrobnosti o způsobu útoku omezené. Únik u společnosti Novo Nordisk, při němž útočníci tvrdili, že odcizili 1,3 terabajtu dat z klinických studií, podobně zanechal mnoho otázek ohledně místa průniku ve veřejných vyjádřeních nezodpovězených.

Tento vzorec přesahuje zdravotnictví a farmacii. Únik dat společnosti Odido odhalil 6,2 milionu záznamů včetně bankovních údajů a dokonce i únik dat filmového festivalu Tribeca, který se dotkl významných hostů, následoval známý scénář: potvrzení, že došlo k odhalení údajů, ujištění, že se záležitost vyšetřuje, a jen málo dalšího. Napříč odvětvími a kontinenty vypadá příručka pro zveřejňování pozoruhodně konzistentně – a pozoruhodně slabě.

Jak se chránit, když podrobnosti chybí

Vzhledem k tomu, že se obecně nemůžete spolehnout, že vám společnost přesně řekne, jak byla vaše data odhalena, užitečnější je zaměřit se na to, co můžete ovlivnit bez ohledu na poskytnuté vysvětlení.

Začněte u hygieny přihlašovacích údajů. Pokud napříč weby používáte stejná hesla, únik u jedné společnosti se stává únikem všude, kde jste toto heslo použili. Správce hesel, který pro každý účet generuje jedinečné přihlašovací údaje, toto riziko téměř zcela odstraňuje. Spojte to s vícefaktorovým ověřováním všude, kde je nabízeno, protože to zablokuje většinu pokusů o převzetí účtu, i když heslo unikne.

Sledujte své účty a úvěrovou historii proaktivně, nečekejte na doručení oznámení. Oznámení o úniku často přicházejí se zpožděním měsíců po samotném incidentu, takže v době, kdy jste informováni, již mohlo dojít k neobvyklé aktivitě. Mnoho bank a úvěrových společností nabízí bezplatné upozornění na nové otevřené účty nebo neobvyklé transakce; zapněte si je.

Buďte skeptičtí k vágnímu jazyku oznámení. Pokud dopis uvádí „neoprávněný přístup“ bez podrobností, berte to jako signál k zablokování úvěru nebo zavedení upozornění na podvod, a ne jako důvod k uklidnění. A vezměte v úvahu, že s rozšiřováním systémů digitální identity porostou sázky ohledně toho, co se centralizuje a jak dobře je to chráněno, takže osobní ostražitost bude do budoucna ještě důležitější.

Co to pro vás znamená

Základní poučení z této zprávy je, že transparentnost oznamování úniků dat je v současnosti spíše zbožným přáním než spolehlivým standardem. Společnosti mají zákonnou povinnost oznámit vám, že k úniku došlo, ale ne říci, proč k němu došlo nebo jak mu bylo možné předejít. To znamená, že odpovědnost za snížení vašeho vlastního rizika padá nepřiměřeně na vás.

To není důvod k panice. Je to důvod ke změně myšlení: považujte každý účet za potenciální budoucí oběť úniku, nejen ty, které vám již oznámení poslaly. Používejte jedinečná hesla, zapněte vícefaktorové ověřování, pravidelně sledujte své finanční účty a nečekejte, až vám firemní oznámení řekne, že je čas jednat.

Praktická doporučení:

  • Proveďte audit svých hesel a přejděte na správce hesel, pokud napříč weby používáte stejné přihlašovací údaje.
  • Zapněte vícefaktorové ověřování pro e-mail, bankovnictví a jakýkoli účet obsahující citlivé údaje.
  • Nastavte si bezplatná upozornění na sledování účtů a úvěrové historie, místo abyste čekali na oznámení o úniku.
  • Vágní jazyk v oznámení o úniku („neoprávněný přístup“, „sofistikovaný útok“) berte jako impulz k zablokování úvěru, nikoli jako důvod riziko ignorovat.
  • Sledujte zpravodajství o únicích týkající se společností, jejichž služby využíváte, abyste mohli jednat ještě předtím, než přijde oficiální oznámení.